ご案内資料

IoT機器向け サーティフィケーションプログラム
キックオフイベントのご案内

2019年10月30日
一般社団法人 重要生活機器連携セキュリティ協議会（ＣＣＤＳ）

Copyright 2019 Connected Consumer Device Security Council Proprietary1

キックオフイベント

開催概要

開催日時：2019年10月30日（水）11時―12時30分
実施場所：フクラシア丸の内オアゾ 15階 I会議室
プログラム：
11:00-11:30 サーティフィケーションプログラム説明（サーティフィケーションプログラム）（サーティフィケーションマーク取得製品紹介）（自動付帯されるIoTサイバー保険）
11:30-11:45 Q＆A
11:45-11:50 フォトセッション（認証を取得した企業の担当者、CCDSメンバー）
11:50-12:30 フォトセッション（認証を取得したIoT機器の撮影）
Copyright 2019 Connected Consumer Device Security Council Proprietary2

趣旨
重要生活機器連携セキュリティ協議会（以降、CCDS)は、民生機器を中心としたIoT機器やサービスにおけるセキュリティ向上を目指した産学連携の協議会です。
このたび、IoTセキュリティ要件を定め、サーティフィケーションプログラムを開始いたしました。
本キックオフイベントでは、プログラム概要、サーティフィケーションマークを付与された機器のご紹介、並びに自動付帯されるIoTサイバー保険についてご紹介いたします。
CCDSは、産業界自らがセキュリティ対策を投資として位置付け、消費者に安全・安心なIoT機器・サービス提供に貢献できる活動を引き続き目指してまいります。

Copyright 2019 Connected Consumer Device Security Council Proprietary3

登壇者紹介・（一社）重要生活機器連携セキュリティ協議会/情報セキュリティ大学院大学
荻野司（おぎの つかさ）

代表理事/客員教授

・株式会社JVCケンウッド 取締役 執行役員 最高技術責任者（CTO）オートモーティブ分野 技術本部長／事業企画本部長 技術開発部担当、知的財産部担当
園田 剛男（そのだ よしお）・日立オムロンターミナルソリューションズ株式会社
濱崎 敏也（はまさき としや）取締役常務執行役員

・オムロンソーシアルソリューションズ株式会社 事業開発統轄本部 生活ソリューション事業本部 事業本部長
山崎宏司（やまさき こうじ）
・文化シヤッター株式会社 執行役員 商品開発部長
石倉 則夫（いしくら のりお）

・リンナイ株式会社 執行役員 開発本部 技術開発部長
清水正則（しみず まさのり）・三井住友海上火災保険株式会社 常務執行役員
大内 章生（おおうち あきお）

金融公務営業推進本部長

・スマートホームWG主査/積水ハウス株式会社 技術業務部 課長
南 裕介（みなみ ゆうすけ）

Copyright 2019 Connected Consumer Device Security Council Proprietary

4CCDSの概要◼ 名称：一般社団法人 重要生活機器連携セキュリティ協議会◆ 英名：Connected Consumer Device Security council (CCDS)◼ 設立：2014年10月6日◼ 会長：徳田英幸（情報通信研究機構 理事長、慶応大学 名誉教授）◼ 代表理事：荻野 司（情報セキュリティ大学院大学 客員教授）◼ 理事：後藤厚宏（情報セキュリティ大学院大学 学長、SIP：PD）
松本 勉（横浜国立大学先端科学高等研究院 教授）◼ 会員数：195（正会員以上：47、一般会員：116、学術系：17、協賛:15）(2019年９月）◼ 主な事業：
1. 生活機器の各分野におけるセキュリティに関する国内外の動向調査、内外諸団体との交流・協力
2. 生活機器の安全と安心を両立するセキュリティ技術の開発
3. セキュリティ設計プロセスの開発や検証方法のガイドラインの開発、策定および国際標準化の推進
4. 生活機器の検証環境の整備・運用管理及び検証事業、セキュリティに関する人材育成や広報・普及啓発活動等
Copyright 2019 Connected Consumer Device Security Council Proprietary5

CCDSの実施体制
CCDS社員総会

検討内容へのアドバイスCCDS理事会

ストラテジック
アドバイザ

CCDS事務局

CCDS
研究開発センター

各WG間の情報交換
全体の方向性の整理
対外事業検討等（各WG主査・副査）

IoTセキュリティ要件
諮問委員会

車載器
ＷＧ

スマート
ホーム
ＷＧ

CCDS
検証センター

幹事会

研究活動・研究発表

金融ATM
ＷＧ

決済端末
POS
ＷＧ

全体運営管理経理・渉外対応等

セキュリティ技術
ＷＧ

検証基盤管理ツール貸出

サーティフィ
ケーションＷＧ

人材育成
ＷＧ

6サーティフィケーションプログラム

2019年10月30日
一般社団法人 重要生活機器連携セキュリティ協議会

Copyright 2019 Connected Consumer Device Security Council Proprietary7

IoTセキュリティを取り巻く各国の動向
2014年

2015年

2016年

2017年
5月

11月

サイバーセキュリティ基本法
サイバーセキュリティを推進するための基本理念や国の責務等を定めた情報セキュリティ戦略の基盤となる法律

日本

12月

7月

サイバーセキュリティ IoTセキュリテ 医療情報システムの経営ガイドラインィガイドライン 安全管理に関する企業経営者を対象に対 IoTセキュリティに ガイドライン第5版

2月
サイバーセキュリティ
フレームワーク公表
NISTがサーバーセキュリ
ティ対策の全体像を示すフレームワークを公表

IoT Cybersecurity
Act 2017法案提出
IoT製品の政府調達条件を規定

12月
改訂版

技適へのセキュリティ要件追加
パブコメ

技術適合要件施行

サイバー・フィジカル・
セキュリティ対策フレー
ムワークを策定
2月

5つのユースケースに対する
IoTサイバーセキュリティの目 米国加州で的、リスク、脅威の分析、国 IoTセキュリ
際標準化状況を整理した ティ法成立

10月
11月
5月
近年、IoTセキュリティに関連する法 サイバー ENISA
EU一般データ保護 英政府
セキュリ
がIoTの 規則(GDPR)施行 コンシューマ規制、ガイドラインなどが各国から出 ティ認証 ベースラ EU加盟28カ国およびアイス IoT向けセ
インセキュ ランド、リヒテンシュタイン、ノ キュリティされており、これらへ対応していかな フレームワーク導 リティ推ルウェー）の個人データ保 行動規範
入検討を 奨事項を 護を目的とした管理規則 13箇条
いとビジネスに影響を及ぼしつつある。 公表 発表

Copyright 2019 Connected Consumer Device Security Council Proprietary

3末

3月

9月

NISTIR8200(Draft)公表

9月

EU

４月

8月-2019年4月

医療機関等を対象とする
サイバー攻撃やIoT等の新技術への対応として改定

8月

2019年

11月

が10年ぶりに改正され施行された マルウェアの感染によりIoT機器がボットネット化
5月
しないための要件を追加

関する指針と一般利用者のためのルールを策定

2019年

6月

改正個人情報保護法施行 技適にセキュリティ
個人情報の取扱いに関するルール 要件追加提案策を推進するためのリー
ダーシップのとりかたについてガイドラインを策定

米国

2018年

IoT Cybersecurity

連邦政府調達に適Improvement

切な管理推奨事項

Act 2019法案提出を明確化(NIST)

1月

SB327
施行

2018/5-2019/2
ETSI

TS 103645
CyberSecurity forConsumer

IoT

8サーティフィケーションプログラム

Copyright 2019 Connected Consumer Device Security Council Proprietary9サーティフィケーションプログラム

Copyright 2019 Connected Consumer Device Security Council Proprietary10サーティフィケーションプログラム

Copyright 2019 Connected Consumer Device Security Council Proprietary11

CCDSサーティフィケーションマーク

2019年10月開始！

2020年4月開始を目指して活動中！

Copyright 2019 Connected Consumer Device Security Council Proprietary12登壇者のご紹介

Copyright 2019 Connected Consumer Device Security Council Proprietary13

マーク付与機器のご紹介◼ 株式会社JVCケンウッド
HDメモリーカードカメラレコーダー「GY-HC900CH」

IPを介してさまざまな周辺機器と連携できる“CONNECTED CAM™”第一弾として市場投入したJVCブランドのHDメモリーカードカメラレコーダー「GY-HC900」。
安定したIP伝送を可能とし、遠隔地からの映像転送やカメラ制御など、ユーザーニーズに合わせたワークフローの構築を可能とするIoTに対応した業務用カメラレコーダーです。
Copyright 2019 Connected Consumer Device Security Council Proprietary14

マーク付与機器のご紹介◼ 日立オムロンターミナルソリューションズ株式会社
国内向けATM「AKe-S」（サーティフィケーションマークオプション設定）「AKe-S」は利用者の使いやすさに配慮したデザインを採用し、紙幣等のハンドリング技術を結集して高い信頼性を実現、消費電力の低減などで環境にも配慮してきましたが、従来のセキュリティ対策に加えて、新たにCCDSセキュリティ要件にも準拠可能となります。

Copyright 2019 Connected Consumer Device Security Council Proprietary15

マーク付与機器のご紹介◼ オムロンソーシアルソリューションズ株式会社
決済端末：CATS300/900シリーズ
マルチ決済端末として、クレジット、電子マネー、コード決済、ポイントカードなど各種決済に対応した決済端末として、2015年リリースから数万台を市場展開している。

マーク付与はCATS300/900の「BASEユニット」にて取得しています。
BASEユニットは、伝票印刷、情報センタ接続（LANインターフェース）、POS連動、各種ペリフェラル接続を実現するユニット。別途「操作ユニット」にてキー入力、表示、カード入力等を行いますが、このユニットはクレジットの国際ブランドのセキュリティ認定を別途受けています。

CATS300/900
BASEユニット

カード会社等

Copyright 2019 Connected Consumer Device Security Council Proprietary16スマートホームＷＧについて◼ 2019年10月29日

スマートホームガイドラインV1.0 リリース

製品分野別セキュリティガイドライン スマートホーム編 1.0版は、独立行政法人情報処理推進機構（IPA）が策定した「つながる世界の開発指針※2」、IoT推進コンソーシアムが策定した「IoTセキュリティガイドライン※3」および、経済産業省が策定した「サイバー・フィジカル・セキュリティ対策フレームワーク※４」を基本的な考え方として参照し、諸外国のガイドラインも参考として整理しております。
分野別ガイドラインの主な内容：
・対象とするシステム構成
・脅威分析・リスク評価の方法・想定されるセキュリティ上の脅威・製品ライフサイクルの各フェーズにおけるセキュリティの取組み
・スマートホームサービスに対するセキュリティ要件の提示
・関連するセキュリティガイドラインとの相関表
https://www.ccds.or.jp/public_document/index.html

Copyright 2019 Connected Consumer Device Security Council Proprietary17

マーク付与機器のご紹介◼ 文化シヤッター株式会社
住宅用窓シャッター

マドマスター・スマートタイプ

・スマートフォンで窓シャッターの操作や状態確認ができます。
・HEMSやスマートスピーカーとも連携が可能です。

ワイヤレス通信機２
型式：SCX1801（マーク取得対象機器）

個別操作・一斉操作
半開操作
ＨＥＭＳ連携状態通知機能

お好みタイマー・おひさまタイマー
スマートスピーカー連携

Copyright 2019 Connected Consumer Device Security Council Proprietary18

マーク付与機器のご紹介◼ リンナイ株式会社
給湯リモコン MC-301VC(A)/302VC(A)・・・どこでもリンナイアプリ

お風呂の自動運転

おいだき

お風呂の予約床暖房

スマートスピーカーでの操作

Copyright 2019 Connected Consumer Device Security Council Proprietary

19

IoTサイバー保険

概要

ＣＣＤＳは、三井住友海上火災保険株式会社、損害保険ジャパン日本興亜株式会社と連携し国内初となる「ＩｏＴ機器保険付認証制度」を構築。ＣＣＤＳがマーク付与した製品に対してサイバー保険を自動付帯します。
マークによって、分野を問わず最低限守るべき要件を満たしていることが確認できるため、ユーザーがIoT機器を購入する際に選択の指標となります。

安心・安全なIoT機器を選択するための指標

フォレンジック調査等、様々な費用・損害を保険で補償します。
原因調査
インシデントの発生またはそのおそれがある場合、迅速に調査を実施します。
損害賠償金その他費用損害
損害拡大防止・再発防止費用等、インシデントに起因する費用を幅広く補償します。

＋

メーカーに過失が発生する場合、賠償金をお支払いいたします。
Copyright 2019 Connected Consumer Device Security Council Proprietary

20

参考資料

Copyright 2019 Connected Consumer Device Security Council Proprietary21

規格策定状況：2018年度
NISC：内閣サイバーセキュリティセンター
CSSC:技術研究組合制御システムセキュリティセンター
IPA：独立行政法人情報処理推進機構
JIPDEC一般財団法人日本情報経済社会推進協会
JNSA：特定非営利活動法人 日本ネットワークセキュリティ協会＜セーフティとセキュリティの国際規格の策定状況＞

機能安全（セーフティ）
基本

分野別

原子力IEC 61513

プロセス産業IEC 61511

自動車
医療機器

IEC 61508「電気・電子・プログラマ
ブル電子の機能安全」

ISO 26262
IEC 60601

セキュリティ
組織ISO 27001「ISMS：情報セキュリティマネジメントシステム」

NISC「安全なIoTシステムのためのセキュリティに関する一般的枠組」

基本分野別

策定中
または未策定IEC 62443「汎用制御システムのセキュリティ」

総務省・経済産業省・IoT推進コン
ソーシアム「IoTセキュリティガイドライン」

CCDS「製品分野別セキュリティガイドライン」
IPA「つながる世界の開発指針」

車載分野
IoT-GW分野

白物家電

IEC 60335

産業機械類

IEC 62061

決済端末分野JIPDECが認定した認証機関が組織のセキュリティ体制を認証

ISO 15408

製品・部品のセキュリティ機能

ＣＣＤＳ会員メンバーと共に一緒になって作り上げた。

金融端末分野「セキュリティ評価・認証」

JNSA「コンシューマー向けIoTセキュリティガイド」
Copyright 2019 Connected Consumer Device Security Council Proprietary

CSSCが制御システムを評価・検証・認証

生活機器に関するセキュリティ
評価・検証を行うための分野別ガイド
ラインの策定IPAが認定した評価機
関がセキュリティ機能を評価・検証

22

IoTセキュリティガイドラインの整備状況
サイバーセキュリティ
戦略
NISC

2016年7月
リリース

IoTセキュ
リティ
一般的枠組
NISC

日本の考え方の国際展開

IoTシステムの設計・構築・運用にかかる基本的な一般要求事項の明確化

参照

セキュリティ・バイ・デザイン
思想によるIoTシステム開発の提唱

IoTセキュリティ
ガイドライン

提案

IoT推進コンソ
総務省
経済産業省

2016年3月
リリース
検参討
照協
力

産業
展開
協力

IoTサービス関係者全レイヤに向けた
セキュリティガイドライン

IoTサービス
提供者

IoT基盤・ネットワーク
提供者

製品分野横断で活用できる安全・安心なIoTシステムの開発指針（チェックリスト）

つながる
世界の開発指針
参照

CCDS
車載器編
CCDS
IoT-GW編CCDSATM編
CCDS
オープン
POS編

CCDS
スマートホーム編

製品分野ごとの視点での脅威やリスクポイントの具体化
設計段階からのセキュリティ検討
ポイントの整理

IoTシステム
ベンダー

CCDS
調達仕様編

2016年6月
2018年11月末
リリース 2017年5月末
リリース
改訂版リリース
Copyright 2019 Connected Consumer Device Security Council Proprietary

23

IoT セキュリティ要件1/2（★）
No

認証要件

脆弱性の種類脅威の背景

1

Web入力経由によるSQLインジェクションの不具合がないこと

SQLインジェクション

ユーザからの入力に含まれた SQL構文の排他が不十分であり、セキュリティチェックの回避や、ステートメントの挿入によりバックエンドのデータベースを改ざんやシステムコマンドの実行に利用される可能性がある。（CWE-TOP6）2

Web入力経由によるクロスサイトサイトリクエ
ストフォージェリの不具合がないこと

クロスサイトリク
エストフォージェ
リ

ユーザからのリクエストが、適切な フォーマットであるかを検証しない ことで発生する脆弱性。攻撃者がク ライアントを騙し、・Wi-Fi 無線ルータ
意図しないリク エストを Web サーバに送信させる 可能性がある。 （CVE-2014- 7270）（CWE-TOP7）3

Web入力経由によるパストラバーサルの不具合がないこと

パストラバーサル

外部入力からパス名を作成し、制限 されているディレクトリへのアクセ スを許してしまう脆弱性。（CWETOP11）4

未使用ポートを外部より使用されないこと

不要サービスポー
トの解放機能やサービス上必要のないサービスポートを解放しておくことで、サ イバー攻撃に悪用される恐れのある 通信が可能となる。

5

システム運用上、必要なポートには、適切なアクセス認証方法（機器毎にユニークなID/パスワード、もしくは外部公開の恐れのない管理されたID/パスワード）で管理されていること

オープンサービスポートの不適切なアクセス管理解放されたサービスポートに対し て、適切なアクセス管理が行われて おらず、機器内のデータの情報漏洩 や、権限昇格（管理機能の掌握）等 の問題を生じる可能性がある。

・Wi-Fi 無線ルータ、IPカメラ等

6

・認証情報の設定変更が可能なこと・初めて利用する際、設定変更を促すこと
・ID/パスワードはハードコーディングをしないこと（初期パスワードは共通でも可とする）※Web管理画面アクセス時のID/パスワードを対象とし、認証鍵は対象外とする

アクセスコードの不適切な実装（ハードコーディング、変更不可等）

機器やアプリケーションにアクセス用の ID/パスワード情報など
を、ハ ードコーディングしているケース や、設定変更ができな
い実装により、 ID/パスワードが危殆化してしまっ た場合の対応ができず、脆弱性につ ながる。

・医療機関システム

Copyright 2019 Connected Consumer Device Security Council Proprietary

事例・Wi-Fi 無線ルータ（CVE-2015-6319）

・IP カメラ（CVE-20177461）
・Wi-Fi 無線ルータ、IP
カメラ等

24

IoT セキュリティ要件2/2（★）
No

認証要件

脆弱性の種類7

・利用者の設定した情報、および機器が利用中に取得した情報は、容易に消去する機能を有すること＊ただし、更新されたシステムソフトウェアは維持されること廃棄やリユースを想定した機能
実装不備

機器やアプリケーションが保持する セキュリティ上の設定値、機密情報、 ・PC、USB メモリ、プライバシー情報等の削除機能を実 装しておらず、廃棄時やリユース時スマートフォンに機密情報やセキュリティ設定値、 プライバシー情報などが漏洩する可能性がある。

・Wi-Fiアライアンス推奨の最新の認証方式が装備されていること

Wi-Fiの通信方式が最新の方式ではない

Wi-Fi 機器において使用される通信 暗号化の方式が最新のものではなく脆弱な暗号化プロトコルや、暗号化 アルゴリズムが使用されている。

・Wi-Fi 無線ルータ

・BluetoothSIG推奨の最新のペアリング方式が装備されていること

Bluetoothのペアリング方式が最新の方式ではないBluetooth 2.0+EDR 以前の仕様で は、ペアリングする機器同士が、共通の“PIN コード”と呼ばれる数字 を入力する方式となっている。一般 的には“0000”など、4 桁の数字を 入力による実装で多く、決め打ち攻 撃で容易に破れてしまう。

・Bluetooth 2.0+EDR以前の機器

10

システム運用上、不要なクラスを認識できな
いことUSBの不要なクラスの利用

不要なデバイスクラスの実装によ り、BadUSB による攻撃を受ける可 能性がある。

・USB 実装機器全般

11・ソフトウェア更新が可能なこと・ソフトウェア更新された状態が電源OFF後も維持できること

ソフトウェアアップデートできない

ソフトウェアやファームウェアに脆 弱性が見つかった場合に、更新を行う機能が実装されていない事で、セ キュリティホールを突かれた攻撃を受ける可能性がある。

・Wi-Fi 無線ルータ、IP カメラ等

8
9

脅威の背景

Copyright 2019 Connected Consumer Device Security Council Proprietary

事例25